该论文提出 AgentFlow，一种面向 LLM 智能体系统的流中心策略语言与运行时强制模型。研究背景是：LLM 智能体会读取不可信内容、调用外部工具、访问私有数据并委派任务给其他智能体，危害往往不是源于单个不安全动作，而是敏感数据在一系列看似合理的步骤间流动。AgentFlow 的核心思路是将安全策略定义在带标签的运行时边上，明确数据在智能体系统中的允许流向。策略语言支持流规则和路径规则、任务范围的能力、受控释放以及有状态污点语义。运行时参考监视器对智能体动作进行中介，并使用有界 SMT 验证器检查结构化策略子集的安全属性。实验方面，原型中七个安全属性每个不到 0.5 秒验证完成，且能捕获所有注入的不安全策略变体；在 AgentDojo 四个套件共 949 个注入案例中，确认受损率从 33.0% 降至 0.0%，同时聚合效用从 46.7% 提升至 63.3%；在 AgentDyn Dailylife 的 200 个案例中，确认受损率从 73.5% 降至 0.0%，效用几乎保持不变（44.5% 至 43.5%）。广度检查覆盖 ASB、InjecAgent、BIPIA、AgentHarm、MCPTox 等基准，表明配置的策略能阻止基准指定的策略可见攻击者流；在 ASB 的直接提示注入测试中，攻击成功率为 0/1200。作者强调这些结果是初步的，仅限于建模的策略可见智能体行为和已评估基准。该论文适合智能体安全研究、策略设计与运行时监控系统的开发人员阅读。

本文提出了一种名为 BOUNDARY FLOW 的 LLVM 插桩框架，旨在解决传统覆盖率引导的内核模糊测试（如 syzkaller）仅依赖边覆盖率（trace-pc）而无法区分仅参数值不同的执行路径的问题。例如，copy_from_user() 函数的不同 size 参数会命中相同的基本块，但安全影响截然不同。BOUNDARY FLOW 扩展了 Linux KCOV，在函数入口和返回处捕获结构化的数据流信息：入口处记录 <PC, arg_idx, arg_size, ptr, offsets[]>，返回处记录 <PC, ret_size, ptr, offsets[]>。复合类型通过 DWARF DICompositeType 元数据自动分解，无需任何源代码注释。该框架通过独立的内核设备 /sys/kernel/debug/kcov_dataflow 提供无锁的每任务环形缓冲区，与现有 KCOV 和 syzkaller 基础设施无冲突。其双重用途包括：模糊测试器获得状态感知反馈以引导涉及值依赖的状态转换的变异；安全分析师获得确定性参数记录，无需 printk 或 kprobe 开销即可进行根因分析。此外，一个后编译流水线（rustc, opt, llc）支持 Rust 内核模块插桩，无需修改 rustc，这是目前唯一能在 -O2 DWARF 省略情况下捕获 Rust 函数参数的运行时方法。在五种漏洞类别（OOB、UAF、double-free、10 层深度链传播、Rust FFI、Rust for Linux Modules）上进行了评估，插桩路径的开销低于 3%。